Data leak damages: EU Judgment in Case C-340/21 Natsionalna agentsia za prihodite

Thursday 14th December 2023

Judgment in Case C-340/21 Natsionalna agentsia za prihodite

(Approximation of laws)

The Bulgarian National Agency for Public Revenues (NAP) is an authority attached to the Bulgarian Minister of Finance. In addition to its usual debt collection duties, it is also responsible for processing personal data.

On 15 July 2019, the Bulgarian media announced that there had been unauthorised access to NAP’s computer system and that, as a result of this cyber-attack, personal data concerning millions of people had been published on the Internet. Many of these people took NAP to court to obtain compensation for non-material damage resulting from their concerns and fears about the future misuse of their personal data.

The Bulgarian Supreme Administrative Court referred several questions to the Court of Justice for a preliminary ruling on the interpretation of the General Data Protection Regulation (GDPR). It requested clarification on the conditions for compensation for non-material damage claimed by an individual whose personal data, in the possession of a public agency, was published on the internet following an attack by hackers.

Background Documents C-340/21

Urteil des Gerichtshofs in der Rechtssache C‑340/21 Natsionalna agentsia za prihodite

Immaterieller Schadensersatz bei Datenleck wegen Hackerangriffs?

Aufgrund eines Hackerangriffs gegen die bulgarische Agentur für staatliche Einnahmen gelangten personenbezogene Daten tausender Bürger ins Internet. Eine Betroffene hat die Agentur vor den bulgarischen Gerichten auf immateriellen Schadensersatz in Höhe von umgerechnet gut 500 Euro verklagt. Sie macht geltend, dass die Agentur ihre Daten nicht hinreichend geschützt habe. Sie befürchtet, dass ihre offengelegten Daten künftig missbraucht werden, um auf ihr Eigentum und ihre Bankkonten zuzugreifen, um Kredite in ihrem Namen abzuschließen und ihre Identität zu stehlen.

Das mit dem Rechtsstreit befasste bulgarische Gericht hat den Gerichtshof um Präzisierung der Voraussetzungen für die Zuerkennung von immateriellem Schadensersatz nach der Datenschutzgrundverordnung ersucht.

Generalanwalt Pitruzzella hat in seinen Schlussanträgen vom 27. April 2023 die Ansicht vertreten, dass bei einem unbefugten Zugang zu personenbezogenen Daten durch Dritte der Verantwortliche für mutmaßliches Verschulden hafte und ein Ersatz des immateriellen Schadens in Betracht kommen könne (siehe Pressemitteilung Nr. 67/23).

Weitere Informationen